AI思维链会泄露隐私？HN热论文曝光’解密预言机’攻击，3步自查你的API与日志

先给结论

今天 HN 热榜上，一篇安全论文（arXiv 2608.09867）刷屏：攻击者能从商用大模型 API 里偷走”隐藏的思维链”。原理很简单——很多模型把推理过程加密后随响应返回给客户端，但同一模型族共用密钥，攻击者把加密块塞给同族的更弱模型，就能骗它”解密”成明文。研究人员用这招从公开仓库扒出 31.5 万个推理块，其中 4.9% 的会话含敏感信息：隐私、凭证，甚至模型拒绝回答的内容。好消息是厂商已修复，但你自己也可能在裸奔——本教程 3 步自查。

为什么和你有关

你以为只有黑客才关心？错。只要你用带”深度思考”的模型 API，响应里就可能带推理字段（比如 `reasoning_content`、`encrypted_content`），而这些字段如果被你的代码写进日志、或你随手把响应原文贴到 GitHub，就等于把”内心戏”公之于众。论文扒的 31.5 万个块，就是从公开仓库里捡来的——泄露往往不是攻击者多高明，而是开发者多粗心。

第 1 步：自查 API 响应里有没有推理字段

写个几行的小脚本，把请求打给自己的应用或直接打模型 API，打印响应里的所有键：

import requests

resp = requests.post("https://你的模型API/v1/chat/completions",
    headers={"Authorization": "Bearer 你的key"},
    json={"model": "你的模型", "messages": [{"role": "user", "content": "1+1=?"}]})

data = resp.json()
print("响应包含的字段:", list(data.get("choices", [{}])[0].get("message", {}).keys()))

如果看到 `reasoning`、`reasoning_content`、`encrypted_content`、`logprobs` 这类键——你的应用正在接收并可能记录思维链。

第 2 步：关闭或最小化推理输出

大多数 OpenAI 兼容 API 支持关闭推理输出，加参数即可：

json={
    "model": "你的模型",
    "messages": [{"role": "user", "content": "1+1=?"}],
    "reasoning_effort": "none",          # 或 "minimal"
    "store": False,                       # 不要求服务端存储
    "logprobs": False,                    # 别要 token 概率
}

成功验证：再跑第 1 步的脚本，响应里不应再出现 `reasoning` 类字段。如果 API 文档里没有关闭开关，说明推理字段是固定的——那就必须做第 3 步。

第 3 步：日志与分享脱敏

给日志加一道”过滤闸”，凡是响应原文一律脱敏后再入库：

import json, re

def sanitize_response(data: dict) -> dict:
    for key in ["reasoning", "reasoning_content", "encrypted_content",
                "logprobs", "content_filter_results"]:
        if key in data:
            data[key] = "[REDACTED]"
    return data

# 写日志前先过一遍
log_payload = sanitize_response(data)
print(json.dumps(log_payload, ensure_ascii=False)[:500])

铁律：永远不要把 API 原始响应整段贴到 GitHub、Issue、技术博客——论文扒的 31.5 万个块就是这么来的。贴代码前先扫一眼有没有 `reasoning` 字样。

常见失败与处理

– 找不到关闭参数：不同厂商参数名不同（`reasoning_effort`、`include_reasoning`、`thinking` 等），先查你的 API 文档，再不行就只做第 3 步。

– 脱敏后调试不方便：本地开发环境可以保留原始响应，但生产日志必须脱敏，二者分开配置。

– 已经泄露了怎么办：如果是测试数据，轮换密钥、清理公开仓库历史（`git filter-repo`）即可；如果是真实用户数据，按数据泄露流程上报。

谁需要做

所有调用大模型 API 的开发者都应该跑一遍第 1 步（5 分钟的事）；做 Agent、长对话、日志系统的人必须做满 3 步。纯聊天用户不用管——这条是给写代码的人的安全课。

一句话

模型会思考是好事，但把它的”内心戏”随手扔进日志，就是给黑客送弹药。3 步自查只要十分钟，换来的是一道实打实的安全底线。

— END —
LC 智趣厅 · 科技与生活的交点
ihygg.cn